IPS заблокировал базу данных через VPN: ограничьте область исключения
VPN не освобождает внутренний трафик базы данных от проверки. Сравните подавление сигнатуры, исключение источника и отключение категории, прежде чем выбирать.
Подключения к базе данных внутри VPN по-прежнему блокируются IPS, журнал событий называет причину, и самое быстрое исправление выглядит как исключение. Прежде отметьте, что на самом деле меняет туннель. Он защищает трафик между своими конечными точками, а затем передаёт обычные внутренние пакеты тому, что проверяет внутреннюю часть сети, — именно там и сработала сигнатура. Туннель не является освобождением, и обнаружение не обязательно ошибочно.
Декапсуляция — это место, где проверка возобновляется
Трафик, покидающий туннель, приходит как обычные IP-пакеты, адресованные хосту базы данных. Любое устройство предотвращения вторжений на этом пути оценивает их по своей политике, поэтому соединение, прошедшее через зашифрованный канал, всё ещё может быть отброшено правилом, написанным для внутренней сети.
TLS от конца до конца — предел этой видимости. Когда клиент проверяет сертификат сервера базы данных, устройство проверки обрабатывает соединение, но не может прочитать полезную нагрузку приложения, поэтому обнаружение там соответствует метаданным, а не тексту запроса. Пропустите эту деталь, и каждое заблокированное соединение будет выглядеть доказательством глубокой проверки. Оба факта важны: устройство не слепо и не читает всё.
Обнаружение по умолчанию не является ложным срабатыванием
Сигнатура существует, чтобы ловить шаблон, и ожидаемый деловой трафик всё ещё может пройти по действительно уязвимому пути кода. Сначала сопоставьте записанное событие с операцией приложения: отметка времени, внутренний источник и назначение, порты, идентификатор сигнатуры и предпринятое действие. Эти шесть полей также подскажут, относится ли предупреждение к неудачному соединению или к соседу, который случайно был занят.
Приход нескольких пакетов на сервер не указывает на IPS как на причину, а совпадающая сигнатура не доказывает, что клиент легитимен. Оба прочтения — догадки, пока событие не будет сопоставлено с отчётом самого клиента. Сопоставленное событие и есть доказательство, а версия базы данных — часть суждения.
Три области исключения и что убирает каждая
Варианты различаются тем, сколько проверки они отключают, и разница больше, чем подсказывает интерфейс настройки. Подавление сигнатуры убирает одно правило для трафика, которому оно соответствует. Исключение источника убирает проверку всего, что идёт с этого адреса. Отключение категории убирает семейство правил, иногда во всей политике.
| Scope | What it stops | What you give up |
|---|---|---|
| Suppress one signature | That rule, for the matching flow | One detection, reviewed against a version |
| Exclude a source address | All rules for that address | Every signature that address would have triggered |
| Disable a category | A rule family across the policy | Protection for unrelated hosts and services |
Предпочитайте первую строку всякий раз, когда продукт может её выразить. Если не может, эскалируйте ограничение вместо того, чтобы выдавать широкое исключение за точное; утверждающий должен увидеть разницу письменно.
Область, которую вы, как вам кажется, задали
Трансляция меняет то, что покрывает исключение. Когда за одним транслированным адресом появляются несколько клиентов VPN, исключение этого адреса освобождает их всех, что гораздо шире единственной находки, начавшей расследование.
Проверяйте фактическую область, а не форму, которую заполнили, и записывайте идентификатор инцидента рядом с правилом. Исключение без причины становится постоянной политикой, и следующему проверяющему неоткуда узнать, действует ли оно ещё.
Повторно проверьте операцию и границу
Повторите ту же безвредную операцию с базой данных и убедитесь, что соединение завершается, затем убедитесь, что несвязанные обнаружения по-прежнему срабатывают в тесте, который должен их вызвать. Восстановление связности — один критерий приёмки; сохранение заданной границы — другой.
nc -vz 10.40.7.25 5432
psql -h 10.40.7.25 -U app -d appdb -c "select 1"Запишите, что было исключено, почему и когда пересмотреть это после следующего обновления сигнатур или обновления приложения. Подавление, которое перечитывают по графику, — инженерное решение; то, о котором никто не помнит, — медленное расширение границы доверия.